NFC Ödemesi Nasıl Çalışır?

NFC ile ödeme, temassız bir banka kartını, telefonu veya akıllı saati uyumlu bir ödeme terminaline yaklaştırarak ödeme yapmanızı sağlar. NFC, kısa menzilli kablosuz bağlantıyı sağlarken, asıl işlemi kart çipi, terminal, ödeme ağı ve banka gerçekleştirir.

Bir dokunma işlemi sadece bir saniye sürebilir, ancak bu süre içinde birkaç adım gerçekleşir. Ödeme cihazı terminal ile iletişim kurar, işlem için güvenlik verileri oluşturur ve onayı almak üzere ödemeyi bankacılık ağı üzerinden gönderir.

NFC Ödemesi Nedir?

NFC (Yakın Alan İletişimi), 13,56 MHz frekansında çalışan bir kısa menzilli kablosuz teknolojidir. Ödeme işlemlerinde, bu teknoloji sayesinde bir ödeme kartı veya mobil cihaz, okuyucuya takılmadan satış noktası terminaliyle iletişim kurabilir.

EMV Temassız, hem temassız çipli kartlardan hem de NFC özellikli mobil cihazlardan yapılan ödemeleri destekler. Kartın veya cihazın terminale çok yakın tutulması yeterlidir.

Yaygın NFC ödeme yöntemleri arasında temassız banka ve kredi kartları, Apple Pay, Google Pay ve ödeme özelliğine sahip akıllı saatler yer alır.

NFC bağlantısı tek başına hesaplar arasında para transferi gerçekleştirmez. Ödeme cihazı ile terminal arasında yerel bir iletişim bağlantısı sağlar. İşlemin geri kalan kısmı ise normal ödeme altyapısı üzerinden gerçekleştirilir.

NFC Ödemesi Nasıl Çalışır?

Tipik bir temassız kart işlemi beş aşamaya ayrılabilir.

1. Terminal, kartı etkinleştirir

Satıcı önce satın alma tutarını girer veya onaylar. Ardından ödeme terminali, temassız okuyucusunun çevresinde bir radyo frekansı alanı oluşturur.

Fiziksel temassız bir banka kartının kendine ait bir pile ihtiyacı yoktur. Kartın içindeki anten, terminalin manyetik alanından enerji alır ve çipin çalışması için yeterli gücü sağlar.

Bu nedenle, temassız bir kart bazen yıllarca cüzdanda kullanılmadan durabilir ve yine de kartı terminale dokundurduğunuzda terminal ile iletişim kurabilir.

Telefonlar ve akıllı saatler, ödeme terminaliyle iletişim kurarken yine de aynı kısa menzilli temassız arayüzü kullanmalarına rağmen, kendi güç kaynaklarına sahip olmaları nedeniyle birbirlerinden farklıdır.

2. Kart ve Terminal Arasında İletişim Kurulur

Kart, terminalin manyetik alanına girdiğinde, terminal ve kart arasında iletişim başlar.

Temassız ödeme kartları genellikle ISO/IEC 14443 standardına dayalı bir teknoloji kullanır. EMV spesifikasyonları ise ödeme uygulaması ile terminalin, işlemi gerçekleştirmek için gerekli bilgileri nasıl karşılıklı olarak aktardığını tanımlar.

Terminal, kullanılabilir bir ödeme uygulamasını tespit eder ve EMV işlemini başlatır. Bu aşamada, kart sadece kayıtlı kart numarasını göndermekle kalmaz.

3. Kart, işlem verilerini oluşturur

Ödeme çipi, ödeme kartı sisteminin bir parçası olarak verilen kimlik bilgilerini ve kriptografik bilgileri barındırır.

Bir işlem sırasında, bu kimlik bilgilerini kullanarak o ödemeye özgü güvenlik verileri oluşturur. EMV, bunu tek kullanımlık güvenlik kodu veya kriptogram olarak tanımlar. Her seferinde aynı sabit güvenlik kodunun kullanılması yerine, her yeni işlem için yeni bir değer oluşturulur.

İşlem, satın alma tutarı ve diğer işlem parametreleri gibi terminal tarafından sağlanan bilgileri de içerebilir.

4. İşlem, onay için gönderilir

Kartla iletişim kurduktan sonra, terminal ödemeyi finansal ağa iletir.

Basitleştirilmiş bir yol şuna benzer:

Kart veya telefon → POS terminali → satıcının ödeme alıcısı/ödeme işleyicisi → kart ağı → kartı veren banka

Kartı veren banka, müşterinin kartından sorumlu olan banka veya finans kuruluşudur.

İşlem bilgilerini alır ve ödemenin kabul edilip edilmeyeceğine karar vermek için gerekli kontrolleri gerçekleştirir. Bunlar arasında ödeme kimlik bilgilerinin ve kriptografik verilerin doğrulanması ile hesap ve işlem durumunun kontrol edilmesi yer alabilir.

5. Onay veya Red Kararı Terminale Geri Dönüyor

İhraççı, kararını ödeme ağı aracılığıyla iletir.

Onaylanırsa, POS terminali ödemeyi onaylar. Reddedilirse, terminal bunun yerine ilgili yanıtı alır.

Tüm işlem genellikle birkaç saniye içinde tamamlanır.

Finansal kurumlar arasındaki para transferi ayrı bir şekilde gerçekleştirilir. Terminale kartın okutulması, esas olarak işlemin doğrulanması ve yetkilendirilmesini sağlar; bir banka hesabından satıcının hesabına anında para aktarımı yapılmaz.

NFC ile ödeme yapmak için internet bağlantısı gerekli mi?

Kısa menzilli NFC alışverişi için müşterinin telefonunda mobil veri veya Wi-Fi bağlantısı gerekmez. Bununla birlikte, tipik bir satıcı ödeme terminalinin çevrimiçi yetkilendirme talebinde bulunabilmesi için, kart kabul eden kuruluş veya ödeme işleyicisine erişim sağlaması gerekir. Bazı ödeme ortamları, belirli kurallar çerçevesinde sınırlı ölçüde çevrimdışı, ertelenmiş veya depolama ve iletme işlemlerini destekleyebilir.

Temassız banka kartının içinde ne var?

Temassız banka veya kredi kartı, özel bir temassız akıllı karttır.

Plastik kartın içinde iki önemli bileşen bulunur: güvenli bir çip ve bir anten. Anten, terminal tarafından üretilen elektromanyetik alanla bağlantı kurabilmesi için genellikle kartın büyük bir kısmını çevreler.

Çip, ödeme uygulamalarını ve ödeme işlemleri için gerekli olan korumalı bilgileri barındırır. Basit, okunabilir bir bellek gibi davranmak yerine kriptografik işlemler gerçekleştirebilir.

Bu durum, kartın ön yüzündeki görünür çip kontakları hâlâ çalışır durumda olsa bile, antenin hasar görmesinin temassız ödemeyi neden durdurabileceğini de açıklıyor. Temaslı ödeme, metal kontaklar aracılığıyla gerçekleştirilirken, temassız ödeme çip ile iletişim kurmak için farklı fiziksel arayüzler kullanır.

Peki, temassız banka kartı bir NFC kartı?

Normal kullanım açısından evet: Bu kart, 13,56 MHz frekansında NFC/temassız iletişime katılan bir karttır. Daha kesin bir ifadeyle, genel amaçlı bir NFC etiketi değil, EMV temassız işlemleri için tasarlanmış güvenli bir ödeme akıllı kartıdır.

NFC Ödemesi Sırasında Hangi Bilgiler Paylaşılır?

Bazen temassız kartların sadece “kart bilgilerinizi gönderdiği” söylenir. Bu açıklama, sürecin en önemli kısmını göz ardı etmektedir.

İşlem sırasında bazı ödeme bilgileri aktarılabilir. Örneğin Visa, temassız kartlarının hesap numarasını, son kullanma tarihini ve her yüz yüze işlemde değişen tek kullanımlık bir kodu aktarabileceğini belirtmektedir.

Buradaki önemli ayrım, nispeten sabit olan hesap bilgileri ile dinamik işlem güvenlik verileri arasındadır.

Hesap bilgileri, ödeme hesabını tanımlar. Dinamik olarak oluşturulan kriptografik değer, kartı veren kuruluşun işlemin geçerli bir ödeme kimlik bilgisi kaynaklı olup olmadığını ve işlem verilerinin geçerli olup olmadığını belirlemesine yardımcı olur.

Bu nedenle, ele geçirilen temassız bir işlem, başka bir cihaza yeni bir EMV temassız işlem için kolayca tekrar sunulabilecek, yeniden kullanılabilir bir kriptogram sağlamaz. Güvenlik değeri, söz konusu tekil işleme bağlıdır.

Bu, ödeme bilgilerinin hassas olmayan bilgilermiş gibi ele alınması gerektiği anlamına gelmez. Bunun anlamı, EMV temassız güvenlik sisteminin yalnızca kart numarasının gizli tutulmasına dayanmadığıdır.

NFC Ödemeleri Telefonlarda ve Akıllı Saatlerde Nasıl Çalışır?

Bir telefon, aynı türdeki temassız ödeme terminaliyle iletişim kurabilir; ancak bu, cüzdanınızda bulunan fiziksel kartla aynı ödeme kimlik bilgilerini sunduğu anlamına gelmez.

Mobil cüzdanlar genellikle ödeme tokenizasyonunu kullanır.

Örneğin, Google Pay’e uyumlu bir kart eklendiğinde, DPAN veya sanal hesap numarası olarak da bilinen bir cihaz jetonu cihaza atanabilir. Google, bir NFC ödemesi sırasında kartın gerçek ana hesap numarası yerine bu cihaz jetonunun terminale gönderildiğini belirtmektedir.

Apple Pay de benzer bir cihaza özgü yaklaşım kullanır. Apple, bir Cihaz Hesap Numarasının cihazın Güvenli Elemanında saklandığını ve işlemeye özgü dinamik güvenlik verileriyle birlikte kullanıldığını belirtmektedir. Apple Pay işlemi sırasında cihaz tarafından gerçek ödeme kartı numarası gönderilmez.

Genel ödeme süreci hâlâ tanıdık geliyor:

Telefon → NFC ödeme terminali → ödeme ağı → kart ihraç eden kuruluş

Değişen şey, cihaz tarafından sunulan kimlik bilgisidir.

Telefonlar ve saatler de cihaz düzeyinde kart sahibi doğrulaması sağlayabilir. Cihaza ve cüzdana bağlı olarak, kullanıcı ödeme bilgisi kullanılmadan önce Face ID, parmak izi, şifre veya başka bir onaylanmış yöntemle kimliğini doğrulayabilir.

Dolayısıyla NFC arayüzü, mobil ödemenin yalnızca bir parçası olarak kalmaktadır. Bunun arkasında güvenli donanım, token sağlama, kullanıcı kimlik doğrulama ve ödeme ağı işlemleri yer almaktadır.

Temassız Ödeme İçin Her Zaman PIN Girilmesi Gerekir mi?

Hayır. PIN veya başka bir kart sahibi doğrulama yönteminin gerekli olup olmadığı, işlem tutarı, kartı veren kuruluşun kuralları, terminal yapılandırması, ödeme ağı kuralları ve yerel düzenlemeler gibi faktörlere bağlıdır. Temassız kart işlemlerinde bazen müşterinin PIN kodunu girmesi gerekebilir. Bir telefon veya akıllı saatte, başarılı bir biyometrik veya şifre doğrulaması, genellikle CDCVM olarak adlandırılan Tüketici Cihazı Kart Sahibi Doğrulama Yöntemi işlevi görebilir.

NFC Ödeme Kartları ve Standart NFC Etiketleri

Temassız bir banka kartı ve standart bir NFC etiketi Her ikisi de 13,56 MHz frekansında iletişim kurabilir, ancak yetenekleri birbirinden çok farklıdır.

NTAG213, NTAG215 ve NTAG216 gibi standart NFC yongaları, NFC Forum Tip 2 etiketleridir. Akıllı reklamcılık, ürün etkileşimi, kimlik doğrulama ve diğer NFC deneyimleri gibi uygulamalar için kullanıcı belleği sağlarlar. Uyumlu telefonların okuyabildiği NDEF veri yapılarını desteklerler.

Örneğin, bir NTAG213'te şu tür bir URL bulunabilir:

https://example.com/pay/order123

Bir müşteri etikete dokunduğunda, telefon o sayfayı açar ve müşteri çevrimiçi ödeme işlemine devam edebilir.

NFC etiketi, ödeme sürecinin başlatılmasına yardımcı oldu; ancak etiketin kendisi bir EMV banka kartı işlemi gerçekleştirmedi. Etiket, yalnızca telefonu ödeme hizmetine yönlendiren verileri sağladı.

Aynı fikir, restoranlarda, gözetimsiz kiosklarda, ürün ambalajlarında, etkinlik sistemlerinde veya bir dokunma hareketiyle fiziksel bir nesneyi çevrimiçi ödeme sayfasına bağlamanın gerekli olduğu diğer uygulamalarda da kullanılabilir.

Bazı kuruluşlar, kimlik bilgisinin o kuruluşun kendi platformu içindeki bir hesabı tanımladığı kapalı döngü sistemlerinde temassız kartlar veya cihazlar da kullanmaktadır. Toplu taşıma kartları, kampüs sistemleri, ön ödemeli sistemler ve benzeri uygulamalar, daha gelişmiş ve güvenli temassız çipler kullanabilir. Bu sistemler, Visa, Mastercard veya başka bir açık ödeme ağında çalışan normal bir banka kartının çıkarılmasıyla karıştırılmamalıdır.

NFC Ödemeleri Nasıl Güvenli Hale Getirilir?

Temassız ödeme güvenliği, yalnızca NFC’nin kısa okuma mesafesine değil, ödeme kimlik bilgilerine ve şifreleme işlemlerine dayanmaktadır.

İşleme Özgü Şifreler

EMV çipli işlemler, her bir işlem için güvenlik verileri oluşturur. EMVCo, kriptogramı, kartı veren kuruluşun ve terminalin işlemi doğrulamasına yardımcı olan tek kullanımlık bir değer olarak tanımlamaktadır.

Birisi geçerli bir işlemi kaydettiyse, bu kriptografik değer başka bir işlem için geçerli kriptogram olarak öylece yeniden kullanılamaz.

Korumalı Şifreleme Anahtarları

Geçerli ödeme kriptogramlarını oluşturmak için kullanılan anahtarlar, kart okunduğunda açık bir şekilde iletilmek yerine ödeme kimlik bilgileri içinde korunur.

Kartı veren kuruluş veya ödeme ağı, işlem sırasında kriptogramı doğrulamak için ilgili bilgileri kullanabilir.

Mobil Cihazlarda Tokenleştirme

Mobil cüzdanlar, fiziksel kartın ana hesap numarasını cihaza özgü bir ödeme jetonuyla değiştirerek güvenlik katmanını bir adım daha artırır.

Apple Pay ve Google Pay, desteklenen temassız ödemelerde her iki sistem de cihaza özgü ödeme kimlik bilgilerini kullanır. Dolayısıyla, cihaz kimlik bilgilerinin kaybolması durumunda, hesaba para yatırmak için kullanılan orijinal kart numarasının açıklanması gerekmez.

Güvenli kimlik bilgileri, dinamik işlem verileri ve kartı veren kuruluşun doğrulamasının bu birleşimi, NFC ödemesinin, okuyucunun sadece bir banka kartını tarayıp aldığı sayıya körü körüne güvenmesi olarak anlaşılmaması gerektiğinin nedenidir.

NFC Ödemesi Nerede Kullanılır?

Uyumlu bir ödeme terminali ve ödeme altyapısının mevcut olduğu her yerde aynı temel temassız ödeme süreci kullanılabilir.

Perakende mağazalar ve restoranlar bu konuda en bilinen örneklerdir. Temassız ödeme terminalleri, otomatlarda, otopark sistemlerinde, self-servis kiosklarında ve diğer gözetimsiz ödeme noktalarında da yaygın olarak kullanılmaktadır.

Toplu taşıma da bu teknolojinin bir diğer önemli kullanım alanıdır. Bazı sistemlerde, sıradan temassız banka kartları veya mobil cüzdanlar doğrudan turnikede kabul edilmektedir. Mevcut banka tarafından verilen ödeme kimlik bilgilerinin kullanılması nedeniyle bu sistemlere genellikle “açık döngü” sistemleri denir.

Diğer ulaşım, kampüs, konaklama ve etkinlik mekanı sistemleri kendi kartlarını veya kimlik belgelerini düzenlemektedir. Bunlar şunlardır: kapalı döngü operatörün kimlik bilgilerini ve bu bilgilerin ardındaki hesabı kontrol ettiği sistemler.

Her ikisi de temassız teknolojiyi kullanabilir, ancak kartın veya cihazın gerçekte neler yapabileceğini, temassız işlemin arkasındaki finansal sistem belirler.

Çözüm

NFC, bir kartın, telefonun veya akıllı saatin ödeme terminaliyle iletişim kurmasını sağlayan kablosuz bağlantıyı sunar. Ödeme çipi veya mobil cüzdan güvenli kimlik bilgilerini sağlar, terminal işlemi finansal ağa iletir ve kartı veren kuruluş işlemi onaylayıp onaylamayacağına karar verir.

Bir proje için NFC teknolojisi seçerken bu rol dağılımı da önemlidir. Programlanabilir bir NFC etiketi, müşteriyi bir ödeme sayfasına veya başka bir dijital hizmete yönlendirebilirken, doğrudan banka kartıyla ödeme için özel bir ödeme sisteminin güvenli kimlik bilgileri ve altyapısı gereklidir.